Ledger販売代理店にバックドアが仕込まれる：損失は約9300万ドルに拡大、あなたのデバイスは感染していないか？
2026年10月9日以降、販売代理店CryptoBilisからLedgerハードウェアを購入したユーザーの資産が消去された。Ledgerは影響を受けたデバイス内に「不正なハードウェアの埋め込み」が存在し、LTE経由でシードフレーズを外部送信すると確認した——侵害されたのはウォレットのファームウェアで…
Ledger 正規販売店にバックドアが仕込まれる：損失は約9,300万米ドルに拡大、問題はウォレットではなくハードウェアに
2026年10月9日以降、Ledger ハードウェアウォレットのユーザー複数が資産を消し飛ばされる事態が発生した。調査が進むにつれ、事件の性質が次第に明らかになってきた：突破されたのは Ledger のウォレットファームウェアでも暗号アルゴリズムでもなく、デバイスがユーザーの手に届く前にすでに何者かによって細工されていたのだ。
Ledger はその後、影響を受けた1台のデバイス内に「不正なハードウェアインプラント」（unauthorized hardware implant）が存在することを確認した。Ledger の説明によれば、この種のインプラントは LTE ネットワークを通じてユーザーのシードフレーズをデバイス外部へ送信する。つまり、攻撃者は暗号技術を一切破る必要がない——ユーザー自身が生成したあのシードフレーズを手に入れさえすれば、それで十分なのだ。
重要な事実：問題を起こしたのは正規販売店 CryptoBilis
| 項目 | 内容 |
|---|---|
| 発覚時期 | 2026年10月9日以降に続々と発生 |
| 影響範囲 | 第三者販売店 CryptoBilis から Ledger デバイスを購入したユーザー |
| 攻撃手法 | デバイスのハードウェアにモジュールを仕込み、LTE ネットワーク経由でシードフレーズを外部送信 |
| 損失額 | 初期集計で約8,600万米ドル、その後約9,300万米ドルに拡大（媒体によって8,600万～1億200万米ドルの幅がある） |
| 資金の行方 | Tornado Cash でミキシングし、USDT を USDD に交換して凍結を回避；約7,060万米ドルは依然としてミックスウォレット内で追跡可能 |
| 公式対応 | CryptoBilis は Ledger 署名器の販売を停止；Ledger と Tether は盗まれた資金の一部を凍結済み |
CryptoBilis は以前、Ledger のインドネシア、マレーシア、フィリピンにおける正規販売店だった。この点はアジアのユーザーにとって特に重要だ：過去数年間に現地代理店、販売店、EC チャネルを通じてデバイスを購入し、Ledger 公式サイトから直接購入していない場合は、デバイスの購入元を真剣に確認する必要がある。
公式が示した対応手順：4ステップ、どれ一つ省略できない
- まだ初期化していないデバイスは、初期化しないこと。Ledger は、当該販売店由来でまだ初期化していないデバイスをユーザーが有効化しないよう明確に求めている。
- すでに使用中の場合は、できるだけ早く資産を移すこと。新品の署名器に移し、それに合わせて全新的なシードフレーズを生成する。
- このデバイス上でシードフレーズを絶対に入力・復元しないこと。新規作成であれインポートであれ、シードフレーズがインプラントされたデバイスを経由した時点で、攻撃者に直接渡したのと同じだ。
- 自分で分解して検証しないこと。Ledger 公式サポートに連絡し、正規の手順で対応すべきだ。
自分で被害に遭っているかどうかを判断する方法
- シードフレーズカードを確認する。新品開封時、梱包内のシードフレーズカードは空白であるべきだ——シードフレーズはデバイスが初期化時に自ら生成しなければならない。カードにあらかじめ単語が印刷されていたり、説明書が「同梱のフレーズを使用する」よう指示していたりする場合は、直ちに使用を中止すること。
- デバイスの真贋を検証する。公式チャネルの Ledger Live でデバイスが正規品かどうかを確認し、ファームウェアは公式ソースからのみ更新する。
- 購入チャネルを振り返る。正規販売店だったか？チャネルの記録や請求書はまだ残っているか？
- 最も徹底した判断方法は「すでに漏洩したと仮定する」ことだ。デバイスの出所に疑いがあれば、漏洩済みとして扱う——資産を移し、新しいシードフレーズに交換する。このコストは盗難による損失よりはるかに低い。
この出来事を業界の文脈に置き直して見る
この事件がすべてのハードウェアウォレットユーザーにとって注目に値するのは、ある暗黙の前提を覆したからだ：これまで「コールドウォレットは秘密鍵をオフラインで保管するから最も安全」と広く考えられてきたが、今回の攻撃はウォレット自体を迂回し、サプライチェーンから直接手を付けた。攻撃者が物流段階でデバイスに触れられるなら、オフライン保管はもはや絶対的な障壁にはならない。
これは孤立した事件でもない。2026年第3四半期、暗号資産業界がハッキングによって被った損失は11億7,000万米ドルを超え、年間累計では21億米ドル近くに達する。同時期に、イーサリアム財団の研究者は AI を活用した攻撃手法がウォレットの安全性をさらに脅かす可能性があると警告した。ハードウェアウォレットは依然として秘密鍵をネット接続機器に置くより安全だが、「デバイスが手元に届くまでに何を経験したか」を、今や評価に含めなければならない。
一般ユーザーへの3つの実践的アドバイス
- デバイスを替えるときは、「チャネル」を「型番」と同等に重要な指標として扱うこと。ブランド公式サイトや検証可能な正規チャネルを優先する。
- 出所に疑いがあればまず移し、それから追及する。安全な対応順序は「まず資産を守り、責任は後で論じる」だ。
- シードフレーズは自分がクリーンだと確認したデバイス上でのみ生成すること。このルールはブランドや価格によって変わることはない。
ウォレットの選び方と秘密鍵管理を体系的に理解したいなら、サイト内の 暗号資産ウォレット選択ガイド、シードフレーズと秘密鍵の安全ガイド、ウォレット承認とフィッシング対策 を合わせて読むとよい。この事件の相場面での初期影響については、10月14日の暗号相場徹底分析 にも記録している。長期資産を保管するプラットフォームを選んでいるなら、Binance や OKX など主要プラットフォームの PoR とアカウントセキュリティの仕組みも併せて確認するとよい。
リスク警告
本記事は2026年10月時点の公開情報を整理したものだ。影響を受けたデバイスの範囲、損失額の集計基準、公式対応の進展は依然として更新が続いており、Ledger 公式のお知らせと公式サポートチャネルの最新説明を基準とされたい。本記事は投資助言を構成しない。
リスク警告とプロモーション開示：暗号資産は一度送金すると取り戻せない。ハードウェアウォレットとシードフレーズに関わる操作は必ず公式チャネルで検証してほしい。本記事は公開情報の整理と解釈であり、投資助言を構成しない。本記事にはプロモーションリンクが含まれており、リンク経由で登録すると私たちが手数料を得る場合があるが、あなたが支払う費用は増えず、本記事の独立した判断にも影響しない。文中で言及した事件の範囲、金額、公式対応は Ledger 公式のお知らせを基準とし、情報は2026年10月時点のものだ。